PT-2021-15523 · Immer · Immer
Publicado
2021-09-01
·
Atualizado
2021-09-10
·
CVE-2021-23436
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Todas as versões anteriores à 9.0.6
Descrição
Um problema de confusão de tipos pode levar a uma falha de segurança quando as chaves fornecidas pelo usuário no parâmetro
path são matrizes. Especificamente, isso ocorre porque a condição (p === “ proto ” || p === “constructor”) na função applyPatches retorna falso se p for uma matriz contendo proto ou constructor. Isso acontece devido ao operador === retornar falso quando os operandos têm tipos diferentes.Recomendações
Para versões anteriores à 9.0.6, atualize para a versão 9.0.6 ou posterior para resolver o problema.
Exploit
Correção
Type Confusion
Prototype Pollution
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Immer